Desenmascarado el joven líder de KillSec

Europol, junto con las fuerzas de seguridad de varios países y especialistas privados en ciberseguridad, ha desmantelado la infraestructura del grupo de ransomware KillSec. En la operación KillSwitch, las autoridades se incautaron de servidores y datos, bloquearon dominios, confiscaron criptomonedas y detuvieron a varios presuntos miembros. La investigación también reveló un detalle incómodo para los expertos adultos en seguridad: el presunto líder del grupo tiene solo 16 años.

La operación comenzó el 30 de septiembre. La coordinaron las autoridades alemanas con la participación de Europol, Eurojust y las fuerzas de seguridad de Bélgica, Finlandia, Alemania, Grecia, Países Bajos, Rumanía, España, Suiza, Reino Unido y Estados Unidos. También colaboró Group-IB, empresa que anteriormente había señalado a KillSec como uno de los grupos de ransomware más activos de 2025 en Asia-Pacífico, América Latina y Oriente Próximo.

Según Europol, KillSec se convirtió en una amenaza destacada en 2024. En los dos años siguientes, el grupo llevó a cabo alrededor de 1.000 ataques en todo el mundo, y al menos la mitad probablemente tuvo éxito. Sus principales objetivos eran pequeñas y medianas organizaciones de servicios profesionales, tecnología, sanidad y finanzas. Buscaban empresas con datos valiosos o sensibles y una infraestructura en internet o en la nube insuficientemente protegida. También atacaron grandes empresas e instituciones públicas, pero el tamaño de la organización no era el criterio principal.

La investigación, iniciada en 2025, determinó que el núcleo de KillSec estaba formado por al menos cuatro personas: un líder, un desarrollador, un negociador y un afiliado, es decir, un operador independiente que ejecutaba ataques. No se ha revelado públicamente la identidad del cabecilla debido a su edad. El desarrollador principal acaba de cumplir 18 años, aunque cometió una parte importante de los delitos cuando aún era menor. No se descarta que hubiera más miembros: la investigación sigue abierta.

Los analistas de Group-IB identificaron al menos 274 organizaciones víctimas. La mayoría eran empresas estadounidenses, un 35%. Les seguían India, con un 17%, y Brasil, Reino Unido, Australia y Colombia, con alrededor de un 3% cada uno. Los sectores financiero y sanitario fueron los más atacados, aunque el grupo tampoco dejó de lado a las instituciones públicas y las grandes empresas. Según Group-IB, entre las víctimas había una gran aseguradora, firmas de inversión y una aplicación de consumo con varios millones de usuarios.

A juzgar por la formulación de Europol, durante la operación fueron detenidas tres personas. Sin embargo, al parecer el presunto cabecilla no figura entre ellas. Las autoridades se incautaron de 110 terabytes de datos, cinco servidores centrales, la infraestructura utilizada para gestionar los ataques y los repositorios de información robada, además de las criptomonedas obtenidas como rescate. Se realizaron ocho registros en España, Grecia, Rumanía y Reino Unido. También se confiscaron los dominios de KillSec, que ahora muestran el aviso habitual de incautación en lugar de servir para actividades delictivas.

Al principio, KillSec atacaba ordenadores con Windows. A finales de 2024, el grupo lanzó KillSec 2.0, una plataforma para afiliados, y amplió sus ataques a los servidores de virtualización VMware ESXi. Este tipo de ataque permitía apagar máquinas virtuales, borrar instantáneas de respaldo y eliminar registros de eventos. En enero de 2025, KillSec empezó a buscar abiertamente especialistas experimentados en pruebas de intrusión y exigía una reputación acreditada en un foro o un depósito de 1.000 dólares.

El grupo dejaba a sus afiliados el 80% del rescate y se quedaba con el 20%. Dmitry Volkov, director de Group-IB, afirmó que los afiliados atacaron hospitales, instituciones públicas y organizaciones financieras, estructuras de las que la gente depende cada día. Según él, hay que cerrar las vulnerabilidades, pero sustituir los servidores no basta: el equipo puede restaurarse en unas semanas, mientras que hay que identificar y exigir responsabilidades a quienes crearon la plataforma y aprobaron los ataques. Eso, sostiene Volkov, es lo que convierte una operación policial en algo más que una pausa temporal y puede poner fin al grupo.